Доверие к приёмнику: оценка журнала реального приёмника ГНСС

kshana receiver-trust читает журнал реального приёмника глобальной навигационной спутниковой системы (ГНСС), прогоняет по нему мониторы доверия эпоха за эпохой и сообщает, когда и почему решение приёмника перестало быть заслуживающим доверия. Он может также оценить журнал по событиям и предсказаниям, которые вы задаёте до прогона: было ли каждое событие обнаружено вовремя и согласуется ли смоделированное падение отношения мощности несущей к спектральной плотности шума (C/N0) с тем, что измерил приёмник.

Наблюдаемые величины — собственные величины приёмника; мониторы и их пороги — это пороги движка и ваши. Каждый результат несёт эту пометку, SHA-256 журнала и все пороги, с которыми он выполнялся, так что прогон можно повторить и проверить.

Для судна на ходу, с оценкой в реальном времени и необязательным шлюзом перед картографической системой, см. MARITIME-TRUST.md.

Запустите#

kshana receiver-trust examples/receiver-trust/session.toml

Это записывает session.result.json, session.trust.csv (одна строка на эпоху) и session.trust.svg (среднее C/N0 во времени с состоянием доверия под ним) рядом со сценарием и выводит однострочный вердикт. Пример журнала синтетический, сделан для демонстрации формата; направьте path на журнал вашего собственного приёмника.

Рисунок выше — демонстрация судна из MARITIME-TRUST.md: выдуманный журнал, консультативная оценка.

Тот же сценарий запускается из Python (kshana.receiver_trust(toml)), из пакета WebAssembly (receiver_trust(toml), с журналом внутри) и из инструмента assess_receiver_log сервера Model Context Protocol (MCP).

Журналы, которые он читает#

Подробности, источники и ограничения этих трёх форматов: MACHINE-INPUTS.md.

Каждая эпоха, которую создают читатели, также несёт source_span, смещения в байтах [start, end) во входных данных: наименьший непрерывный диапазон, содержащий записи, которые в неё вошли, так что точный необработанный фрагмент можно хешировать для окна события. NMEA: каждая строка, прочитанная, пока эпоха текущая (надмножество, если между её предложениями стоит посторонняя строка). UBX: кадры эпохи. RINEX 3: записи эпохи от каждой строки > до следующей. Android: строки Raw эпохи (строка Fix — только для эпохи без строк Raw). Отсутствует для живого потока и везде, где не определено однозначно (RINEX 2).

Файл передаётся через path (разрешается относительно папки самого сценария) либо внутри как text или base64 (единственные варианты в браузере).

Журнал ИНС как второй датчик#

[log.imu] добавляет инерциальный журнал на тех же часах:

[log.imu]
format = "csv"          # or "euroc"
path = "imu.csv"        # or text / base64
heading0_deg = 90.0     # heading at the first IMU sample
yaw_axis_down = true    # body z down (NED/FRD); false for z up (ENU/FLU)
time_offset_s = 0.0     # added to the IMU clock to reach the log's t_s

Скорость рыскания интегрируется от heading0_deg и заполняет курс везде, где в журнале приёмника его нет, поэтому монитор heading-course (которому нужен heading_sensor = true на платформе) сравнивает курс по гироскопу с путевым углом. Гироскоп дрейфует: курс точен лишь настолько, насколько хорошо окно интегрирования, а hdg_cog_tol_deg решает, что считать расхождением. Раскладка csv описана в MACHINE-INPUTS.md. Байты ИНС входят в хеш сценария и в хеш сценария пакета доказательств. Встроенная передача (text/base64) работает на любой поверхности; path отклоняется там, где файлы не читаются.

Платформа: стационарная или судно#

Описанные выше мониторы предполагают неподвижную антенну. Сценарий задаёт платформу до прогона в таблице верхнего уровня [platform]; без неё платформа — static, и ничего не меняется.

[platform]
kind = "vessel"            # "static" (default) or "vessel"
max_speed_kn = 30.0        # default 30
max_accel_mps2 = 0.5       # default 0.5
max_turn_rate_dps = 6.0    # default 6
antenna_height_m = 18.0    # no default: without it the sea-level monitor does not run
heading_sensor = false     # true: the stream carries a gyro heading (HDT or THS)

Ключи судна отклоняются при kind = "static". Для судна монитор position-jump не работает, потому что он измеряет расстояние от среднего значения калибровки, а это неверно для движущейся антенны; monitor_config результата записывает платформу и использованные пределы.

Синтетические потоки NMEA из kshana nmea-scenario, созданные для обучения экипажа, принимаются читателем NMEA и могут быть пропущены через этот вид, как любой журнал NMEA.

Мониторы#

Каждому монитору нужны его данные; монитор, данных которого нет в журнале, не запускается и не указывается в monitors_run. Первые calibration_s секунд (по умолчанию 60) задают базовый уровень и никогда не вызывают тревогу.

Калиброванный профиль (по выбору). [monitors] profile = "jammertest-2024-calibrated" заменяет три порога помех значениями, калиброванными на открытом наборе данных JammerTest 2024 (один u-blox ZED-F9P на сценарий; Zenodo 15911589): cn0_drop_db = 1.5, agc_k_sigma = 3.5, jam_ind_threshold = 29. Калибровка была зарегистрирована заранее (xval/jammertest-trust/PREREGISTRATION.md), а профиль имеет статус MODELLED, подогнан по одной открытой кампании: его порог cn0_drop_db не выполнил заранее зарегистрированный порог ложных тревог на отложенной выборке (0,0231 против 0,02); пороги АРУ и индикатора подавления и объединённый порог (ложные тревоги 0,033, обнаружение 0,81) были выполнены (xval/jammertest-trust/RESULTS.md). Он справедлив для этого типа приёмника на этом событии, против запланированных слотов атак, и был откалиброван по журналам CSV набора данных (его журналы UBX дают больше ложных тревог в двух папках). Результат прогона с профилем повторяет применённые пороги и несёт profile_note со всем сказанным выше. Без профиля действуют значения по умолчанию, указанные выше, и все выходные данные не меняются.

Для платформы vessel дополнительно работают мониторы движущейся платформы (пороги — в таблице верхнего уровня [maritime], каждое значение по умолчанию описано в src/receiver_trust/maritime.rs); каждому нужны его данные, и он указывается в monitors_run только тогда, когда принял решение:

Эпоха считается недоверенной (untrusted), когда тревогу подают RAIM, монитор часов, сбой решения или скачок положения либо падение C/N0 достигает удвоенного порога; ухудшенной (degraded) — при любой другой тревоге; и номинальной (nominal) в остальных случаях.

Путь движка (raim, solve-failure, clock) — это то же вычисление, что и оракул спуфинга JammerTest 2024 в tests/jammertest_spoof_oracle_support: tests/receiver_trust_jammertest.rs проверяет, что на всех восьми опубликованных началах первая тревога приходится на ту же эпоху и относится к тому же виду.

Оценка доверия (платформа-судно)#

Для судна каждая эпоха после калибровки также получает оценку от 0 до 100 и причины, по которым она не равна 100. Отображение детерминировано и зафиксировано до оценки любого журнала: без обучения, ничего не подгоняется под события. Каждый монитор сводит свои доказательства к отношению statistic / threshold (тревога при 1 и более); отношение стоит оценке

points = weight * clamp((ratio - onset_ratio) / (full_ratio - onset_ratio), 0, 1)
score  = round_to_0.1( clamp(100 - sum of points, 0, 100) )

поэтому монитор ничего не стоит, пока он ниже onset_ratio своего порога (по умолчанию 0,5), стоит половину своего веса на пороге и весь вес при пороге, умноженном на full_ratio (по умолчанию 1,5); оценка не возрастает ни по одной статистике. Источник, который не сообщает данных в эпохе, сохраняет свою последнюю статистику в течение evidence_hold_s (по умолчанию 10 с: два цикла предложения C/N0, отправляемого каждые 5 с), как в виде тревоги, так и в виде вычета.

Округление — вверх от половины (floor(x * 10 + 0.5) / 10), полоса определяется округлённой оценкой, а ограничение применяется до округления. В вычетах перечисляются только мониторы, баллы которых больше нуля, с их отношением и неокруглёнными баллами, сначала с наибольшими баллами; вычеты с равными баллами перечисляются в порядке имён мониторов cn0-drop, agc, jam-ind, loss-of-lock, position-jump, raim, clock, solve-failure, kinematic, heading-course, speed-log, sea-level, cn0-spread, cn0-rise, time-consistency, osnma, geometry. Монитору, чей тест даёт результат «пройден/не пройден» (неудачное решение, неудачная аутентификация), присваивается отношение 1,5, то есть полный вес. Перечисленные баллы — это баллы до ограничения на 0.

[score]
nominal_min = 90.0         # score >= 90: nominal
degraded_min = 55.0        # 55 <= score < 90: degraded; below 55: untrusted
onset_ratio = 0.5
full_ratio = 1.5
evidence_hold_s = 10.0
[score.weights]            # overrides; a monitor not listed keeps its default
sea-level = 30.0

Границы полос следуют из весов: самый лёгкий монитор, подающий тревогу, стоит 12,5 балла на своём пороге, поэтому любая тревога выводит оценку из номинальной полосы; ни один монитор с весом менее 60 баллов не может в одиночку довести оценку до полосы untrusted (несколько вместе могут). Результат записывает модель оценки (score_model), а каждая эпоха несёт score.deductions: какие мониторы сделали вычет, их отношения и их баллы. Для судна состояние эпохи — это полоса её оценки.

Геометрия: естественная деградация отдельно от атакоподобной несогласованности#

Приёмник у портального крана, в шлюзе или под высоким корпусом теряет спутники, и его решение ухудшается по причине, не являющейся атакой. Начиная с 0,36, по проектной записке о геометрии (docs/design/2026-10-12-geometry-and-skyline-design.md, раздел 4), каждая эпоха несёт свою геометрию спутников, у оценки судна есть монитор геометрии, а каждый вычет несёт класс: geometry (небо), environment (сигнальная обстановка) или inconsistency (атакоподобные свидетельства).

Откуда берётся геометрия. Угол места и азимут каждого отслеживаемого спутника (NMEA GSV, UBX NAV-SAT), по которым единственным ядром DOP движка (orbit::dop, VALIDATED по gnss_lib_py) выводится геометрический фактор DOP (ухудшение точности): source = derived. Если это невозможно, используются DOP и число используемых спутников, которые сообщает приёмник (NMEA GSA): source = reported. Положения на небе и GSA действуют в течение evidence_hold_s оценки (по умолчанию 10 с), потому что многие шины отправляют GSV раз в несколько секунд; неполный в эпохе набор GSV (конец фрагмента, потерянное предложение) не используется. Журнал, в котором нет ни того ни другого, например NMEA только с GGA и RMC, а сегодня также журналы Android и RINEX, получает статус unknown с примечанием «geometry unknown»: движок не угадывает геометрию, которую ему не дали, и монитор геометрии не запускается.

Статус носит описательный характер, а для оценки важна метка (ниже): degraded включает информационный случай sky-blocked, который может сочетаться с хорошим или удовлетворительным DOP, и оценивается только метка poor.

Метка (всегда сообщается, никогда не оценивается). geometry.label каждой эпохи — это good (HDOP не более hdop_good 2, PDOP не более pdop_good 3 и не менее used_good 6 спутников), poor (HDOP выше hdop_max 4, PDOP выше pdop_max 6 или менее min_used 5 спутников), fair между этими двумя, либо unknown. Примечание эпохи всегда начинается с метки и чисел, например «geometry fair: HDOP 1,105, PDOP 1,831, VDOP 1,410, 8 satellites; not scored (the score deducts only above HDOP 4, PDOP 6 or below 5 satellites)», и добавляет «, signal loss», когда это имеет место.

Монитор геометрии (оценка судна). Он ничего не вычитает, если геометрия не плохая: его отношение равно max(hdop / hdop_max, pdop / pdop_max, min_used / n_used), и пока оно не превышает 1 (хорошая или удовлетворительная геометрия, включая открытое небо только для GPS с 8 спутниками), он ничего не стоит, так что такой журнал оценивается точно так же, как в 0,35. Выше 1 вычет линейно нарастает до cap_points (15) при full_ratio (1,5 порога: HDOP 6, PDOP 9, 3 спутника): 7,5 балла при отношении 1,25 (HDOP 5 или 4 спутника), 15 начиная с 1,5 (оценка 85, degraded). Сам по себе он никогда не опускает оценку ниже floor (по умолчанию: degraded_min оценки, 55), поэтому одна геометрия доводит оценку самое большее до полосы degraded и никогда до untrusted: действующее ограничение равно min(cap_points, 100 - floor), поэтому таблица [score], повышающая degraded_min (например, таблица 0,35 с degraded_min 90), снижает ограничение до 100 - degraded_min, а не отклоняется, а floor, заданный ниже degraded_min, отклоняется. Монитор не подаёт тревоги; он указывается последним в monitors_run, когда принял решение хотя бы в одной эпохе (для судна, чей журнал даёт геометрию), и не учитывается в тождестве 0,35; он не является элементом [score.weights] (его задание отклоняется), а действующие ограничение и нижняя граница записываются в geometry_model.cap_in_force и geometry_model.floor_in_force. Примечание плохой эпохи объясняет причину, например «geometry poor: HDOP 5,200, PDOP 7,900, VDOP 4,100, 7 satellites; degraded by geometry: HDOP 5,200 above 4 (derived from 7 logged satellites); not an inconsistency».

Классы. Каждый вычет (score.deductions[].class):

Защита от подделанного плохого неба. Спуфер мог бы отправить скудный GSV или сообщить большой HDOP, чтобы купить допуск. Движок помечает и не прощает: никакая другая проверка не расширяется из-за плохой геометрии, а HDOP, который заявляет приёмник (GSA в пределах удержания, иначе GGA), сравнивается с HDOP, выведенным из заявленного им неба. Когда они различаются более чем на max(reported_vs_derived_tol, reported_vs_derived_rel × derived HDOP) (1,0 или 25 % выведенного HDOP, в зависимости от того, что больше), эпоха несёт reported_derived_mismatch: true и, когда геометрия плохая, её вычет относится к классу inconsistency. При хорошей или удовлетворительной геометрии расхождение сообщается и не оценивается: ничего не вычитается, если геометрия не плохая. Это осознанный выбор (0,36): «ноль, если не плохая» справедливо для каждой эпохи, поэтому хорошая и удовлетворительная геометрия оцениваются точно так же, как в 0,35, а поддельный HDOP никогда не остаётся молчаливым. Флаг (reported_derived_mismatch) стоит в каждой эпохе результата и в каждой живой строке, примечание гласит «…beyond the tolerance: reported, not scored (the geometry is not poor)» или «…: the geometry deduction is classed an inconsistency», geometry_summary.hdop_mismatch считает такие эпохи, а страница сводки доказательств показывает число, включая ноль. Значение 25 % — это REPRESENTATIVE инженерный выбор, а не измеренная или стандартная величина: приёмник, который решает по одним часам на каждую орбитальную группировку или по подмножеству отслеживаемых спутников (маска угла места, отсечка по C/N0, исключение по RAIM), заявляет HDOP, который отличается от HDOP по одним часам для всех отслеживаемых спутников на величину, растущую с HDOP, поэтому один лишь фиксированный допуск принимал бы естественную плохую геометрию за несогласованность. Большая разница по-прежнему считается несогласованностью. Вычет класса geometry — это утверждение о небе, а не вывод о том, что атаки не было.

Потеря сигнала — это не небо. Когда спутники, которые приёмник перечисляет как находящиеся в зоне видимости (выше low_elev_deg), не отслеживаются, движок также выводит DOP для каждого спутника в зоне видимости. Если этот DOP в зоне видимости в пределах порогов и либо ничего не отслеживается, либо неотслеживаемые спутники распределены по горизонту (не сосредоточены в одной его половине), то небо было на месте, а сигнала не было: эпоха несёт signal_loss: true, примечание «satellites in view but not tracked: signal environment, not geometry», а вычет геометрии относится к классу environment. Неотслеживаемые спутники, сосредоточенные в одной половине горизонта, по-прежнему считаются заблокированным небом (стена, скала, причал). Двустороннее препятствие (каньон или узкий фьорд) считается потерей сигнала, пока не настроена линия горизонта. Сентинелы «нет решения» у приёмника — это не DOP: заявленный HDOP или PDOP 99 и более, качество GGA 0 и режим GSA 1 не дают заявленного DOP.

Что изменилось в выходных данных, а что нет. Ни одна оценка не меняется, если геометрия не плохая; метка сообщается всегда. Добавленные ключи: epochs[].geometry (status, reasons, source, n_used, hdop, pdop, vdop, округлённые до 0,001, open_fraction (null, пока не настроена линия горизонта), max_azimuth_gap_deg, age_s, reported_hdop, reported_derived_mismatch, note, in_view (спутники, перечисленные выше low_elev_deg), signal_loss, label), class в каждом вычете, а в конце geometry_model (пороги, удержание, действующие ограничение и нижняя граница, происхождение, правила классов) и geometry_summary (эпохи по статусу, по метке и по классу вычета, а также эпохи с расхождением заявленного HDOP); score_model.weights — как в 0,35. Два теста удерживают это на уровне байтов базового уровня «0,36 portable» после удаления этих ключей (хеши 0.35.0, пересчитанные, когда движок перешёл на переносимую математику, и сохранённые в тестах как запись того, что выпустила 0.35.0: docs/revisions/STUDIO15-portable-math-rebaseline.md). tests/geometry_trust_no_change.rs фиксирует каждый выходной файл обоих примеров сессий (JSON результата, CSV, SVG, вердикт, воспроизведённые живые строки, $PKSHT, Prometheus, CEF, LEEF). tests/geometry_corpus_identity.rs фиксирует пакетный результат, сводку, живые строки и $PKSHT каждого зафиксированного корпуса NMEA судна (демонстрация и морские эталонные данные, каждый также как открытое небо только для GPS с 8 спутниками, и учебные сценарии для экипажа, сгенерированные из их начальных значений); в двух учебных сценариях, где подавление делает геометрию плохой, каждая эпоха, не являющаяся плохой, идентична, а каждая плохая отличается только вычетом геометрии. Журнал, геометрия которого плохая, теряет до 15 баллов, которые он не терял в 0,35; это задуманное изменение. В демонстрации увод положения читается как inconsistency; tests/geometry_trust.rs правит журнал так, чтобы замаскировать западное небо (удовлетворительно: помечается, не оценивается), замаскировать его и два восточных спутника (плохо: вычеты геометрии, потеря захвата — environment, поскольку высокие спутники тоже пропали), потерять только спутники ниже 15° (потеря захвата — geometry) и заявить HDOP, которого небо не объясняет (вычет за плохую геометрию становится inconsistency). Пороги имеют статус MODELLED: выбраны, а не подогнаны ни под какой журнал; ничто здесь не утверждает, как часто естественную деградацию и атаки удаётся различить на реальных данных.

Задание событий и предсказаний#

[[events]]
label = "jammer on"
kind = "jamming"            # jamming, spoofing or other
onset_s = 120.0             # seconds since the first epoch of the log
end_s = 240.0               # optional; otherwise onset_s + compare.horizon_s
predicted_cn0_drop_db = 12.0  # optional, e.g. from a `jamming` scenario's link budget

[compare]
detect_tol_s = 10.0         # an alarm this soon after onset counts as a detection
cn0_tol_db = 3.0            # predicted and observed drops agree within this

Для каждого события результат даёт ложные тревоги между калибровкой и началом, первую тревогу и её мониторы, задержку, исход (detected, late, missed или not-evaluable) и наблюдаемое медианное падение C/N0 в сравнении с предсказанием (agree, disagree, no-prediction или not-evaluable). Расхождение сообщается и никогда не «подгоняется»: допуски находятся в сценарии, а сценарий входит в хеш результата.

Чего это не утверждает#

Мониторы доверия имеют статус MODELLED: их пороги — входные данные, а их эффективность обнаружения на реальных помехах — это то, что измеряет оценка событий, а не то, что утверждает этот вид. На сессиях спуфинга JammerTest 2024 мониторы пути движка ловят одни начала в пределах 10 с и опаздывают на других; числа см. в строке «Clock-aided χ², RAIM, AGC, SQM fused per-epoch security FoM» в VERIFICATION-MATRIX.md. Предсказание, согласующееся с одним журналом, — это одна точка данных, а не валидация.